IATF 16949 Denetiminde BT Departmanı Hangi Kanıtları Hazırlar?

IATF 16949 bir kalite yönetim sistemi standardıdır; ancak üretim planlamadan sevkiyata, izlenebilirlikten kayıt saklamaya kadar pek çok gereklilik bilgi teknolojisine dayanır. IATF’nin yayımladığı Sanctioned Interpretations (SI) ile siber saldırılar da standardın birden fazla maddesine açıkça girmiştir. Bu rehber, bir IATF denetiminde BT departmanının hazır bulundurması gereken kanıtları madde bazında toplar.

SI’larla gelen siber güvenlik beklentileri

SI / Madde	Yayın ve yürürlük	Beklenti (özet)
SI 3 · 6.1.2.3 Acil durum planları	Temmuz 2021’de revize, Kasım 2021’den itibaren	Acil durum planları BT sistemlerine yönelik siber saldırıları kapsar; etkinlikleri periyodik olarak test edilir (ör. simülasyon). Müşteri bildirimi, en az yıllık gözden geçirme, çalışan eğitimi ve yeniden başlatma sonrası ürün uygunluğunun doğrulanması planın parçasıdır.
SI 18 · 7.1.3.1 Tesis, ekipman planlama	Ekim 2019, Ocak 2020’den itibaren	Tesis yerleşimi ve planlamada, üretimi destekleyen ekipman ve sistemlerin siber korunması çok disiplinli, risk bazlı bir yaklaşımla uygulanır.
SI 21 · 6.1.2.1 Risk analizi	Temmuz 2021, Kasım 2021’den itibaren	Risk analizi en az BT sistemlerine yönelik siber saldırı tehditlerini içerir.
SI 22 · 7.2.1 Yetkinlik	Temmuz 2021, Kasım 2021’den itibaren	Eğitimler siber saldırı girişimlerinin belirtilerini tanımayı içerir.

En güncel SI seti Kasım 2025’te yayımlanmıştır (SI 27–30 ağırlıklı olarak Rules 6. Baskı ile uyum ve tanımlarla ilgilidir). IATF Rules 6. Baskı 1 Ocak 2025’ten beri yürürlüktedir.

Madde bazında BT kanıt listesi

6.1.2.1 — Risk analizi

• Siber saldırı senaryolarını (fidye yazılımı, ERP/MES kesintisi, uzaktan bakım erişimiyle sızma) içeren güncel risk analizi.
• Her senaryo için mevcut kontroller ve aksiyonlar.

6.1.2.3 — Acil durum planları

• Kritik üretim süreçlerinin BT bağımlılık haritası (ERP, MES, etiket sistemi, PLC/SCADA, ağ).
• Siber saldırı ve sistem kesintisi senaryolarını içeren acil durum planı; alternatif çalışma (manuel etiketleme, çevrimdışı sevkiyat listeleri) talimatları.
• Müşteri bildirim kararı ve sorumlusu.
• Tatbikat veya simülasyon raporu; ölçülen süreler, dersler ve aksiyonlar.
• En az yıllık üst yönetim gözden geçirme kaydı.
• Yeniden başlatma sonrası ürün ve veri doğrulama adımları.

7.1.3.1 — Tesis, ekipman ve sistem planlama

• Yeni hat, makine veya yazılım yatırımlarında kullanılan siber gereklilik kontrol listesi (ağ bağlantısı, uzaktan erişim, güncelleme ve destek süresi, yedekleme).
• Üretim ağı şeması ve ofis ağından ayrımın kanıtı.
• Makine tedarikçisi uzaktan erişimlerinin onay ve kayıtları.

7.2.1 — Yetkinlik ve farkındalık

• Ofis ve üretim çalışanlarına yönelik siber farkındalık içeriği (oltalama, şüpheli USB, olağandışı sistem davranışı).
• Katılım kayıtları ve yeni çalışan eğitimleri.

Kayıtlar ve yedekleme

• Kalite kayıtlarının saklanmasına destek veren yedekleme politikası, iş raporları ve geri yükleme test kayıtları (bkz. yedekleme denetim kanıtları).

Denetimde sık görülen BT bulguları

1. Acil durum planında siber senaryonun hiç bulunmaması veya yalnızca “BT’ye haber verilir” cümlesiyle geçiştirilmesi.
2. Planın test edildiğine dair kayıt olmaması.
3. Yedeklerin geri yüklenebildiğinin kanıtlanamaması.
4. Yeni makine alımlarında siber gerekliliklerin satın alma şartnamesine girmemesi.
5. Risk analizinin BT tehditlerini içermemesi.

Kalite ve BT ekibinin iş birliği

IATF dokümantasyonunun sahibi genellikle kalite birimidir; BT ise kanıtın sahibidir. En etkili yöntem, kalite yönetim temsilcisi ile BT yöneticisinin ortak bir kanıt listesi üzerinden çalışması ve tatbikatların birlikte planlanmasıdır. TISAX veya ISO 27001 çalışması olan kuruluşlarda aynı kanıtlar üç çerçeveye birden hizmet eder.

Eretek IATF 16949 belgelendirmesi yapmaz ve kalite yönetim sisteminin tamamını üstlenmez; bu rehber standardın BT ve siber güvenlikle ilişkili beklentilerini ele alır. Güncel SI metni IATF Global Oversight sitesinden takip edilmelidir.

Sık sorulan sorular

IATF denetçisi BT altyapısını teknik olarak test eder mi?

IATF denetimi bir kalite yönetim sistemi denetimidir; teknik sızma testi yapılmaz. Denetçi planları, kayıtları, test sonuçlarını ve uygulamanın kanıtlarını inceler.

Küçük bir tesis için de siber senaryo gerekli mi?

SI’lar ölçek ayrımı yapmaz; ancak yöntem riske göre ölçeklenir. Küçük bir tesiste masa başı tatbikat ve temel geri yükleme testi yeterli kanıt sağlayabilir.

Müşteriye özgü gereklilikler (CSR) BT’yi etkiler mi?

Evet. Bazı OEM’lerin müşteriye özgü gereklilikleri bilgi güvenliği, TISAX veya süreklilik beklentileri içerir; bunlar risk analizine ve planlara yansıtılmalıdır.

BT kanıtlarınızı denetim öncesi hazırlamak için IATF 16949 BT Gereklilikleri ve Denetim Hazırlığı hizmetimizi, tatbikat için siber saldırı ve acil durum tatbikatı hizmetimizi inceleyebilirsiniz.